domena łudząco podobna

Domena łudząco podobna to fałszywy adres imitujący wyglądem legalną domenę w celu wprowadzenia odbiorcy w błąd.

Jak powstaje domena łudząco podobna

Domena łudząco podobna to adres internetowy skonstruowany tak, aby przypominał nazwę legalnej witryny, lecz prowadził do innej infrastruktury. Różnica może polegać na pojedynczej literze, dodatkowym znaku, zmianie kolejności znaków albo użyciu innej domeny najwyższego poziomu. Przykładowo adres może zawierać literówkę w nazwie firmy, łącznik pomiędzy wyrazami lub końcówkę inną niż ta używana przez właściwy serwis. Sam wygląd strony nie potwierdza jej autentyczności, ponieważ układ graficzny, logo i formularze można skopiować.

Osobną kategorię stanowią domeny wykorzystujące znaki Unicode. System nazw domen tłumaczy takie adresy na zapis ASCII za pomocą mechanizmu IDNA, a przeglądarka może wyświetlać nazwę zawierającą znaki z różnych alfabetów. Litera wyglądająca podobnie do łacińskiej może mieć inny kod Unicode, dlatego użytkownik widzi wizualnie zbliżony adres, mimo że technicznie jest to odmienna domena. Takie podobieństwo określa się jako homografię. Nie każda domena zawierająca Unicode jest złośliwa, ale mieszanie alfabetów w nazwie przypominającej znaną markę powinno skłonić do dodatkowej weryfikacji.

Adres w pasku przeglądarki a rzeczywisty cel połączenia

Podstawową czynnością kontrolną jest odczytanie całej nazwy hosta w pasku adresu, a nie tylko fragmentu widocznego na początku. W adresie https://logowanie.example.com.evil.test właściwą domeną jest evil.test, ponieważ znajduje się bezpośrednio przed pierwszym ukośnikiem rozpoczynającym ścieżkę. Fragment logowanie.example.com jest w tym przykładzie subdomeną należącą do innego właściciela. Podobnie zapis Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript. nie oznacza połączenia z example.com; część przed znakiem „@” może pełnić rolę informacji użytkownika w składni adresu, a hostem pozostaje evil.test.

Protokół HTTPS szyfruje transmisję pomiędzy przeglądarką a serwerem i pozwala zweryfikować certyfikat dla określonej nazwy, ale nie potwierdza, że właściciel domeny jest godny zaufania. Certyfikat wystawiony dla fałszywej domeny może być technicznie prawidłowy. Dlatego ikona kłódki nie jest dowodem, że strona należy do właściwej organizacji. Warto sprawdzić nazwę domeny, zakres certyfikatu oraz to, czy adres został otwarty z niezależnego, wcześniej znanego źródła, zamiast z linku otrzymanego w wiadomości.

Weryfikacja DNS, certyfikatu i przekierowań

Jeżeli adres budzi wątpliwości, można porównać go z oficjalnym adresem zapisanym wcześniej w zakładce lub dokumentacji producenta. Pomocne jest także sprawdzenie danych DNS, choć sam rekord DNS nie rozstrzyga, czy witryna jest legalna. Polecenie nslookup nazwa-domeny w systemie Windows albo dig nazwa-domeny w systemach Unixowych może pokazać adresy IP zwrócone przez DNS. Wynik należy traktować jako informację techniczną, a nie certyfikat wiarygodności, ponieważ wiele legalnych i złośliwych stron korzysta ze współdzielonej infrastruktury, usług CDN lub częstych zmian adresów.

Warto przeanalizować także pełny łańcuch przekierowań. Skrócony odnośnik może prowadzić najpierw do usługi pośredniej, a dopiero później do strony docelowej. Przeglądarka może wyświetlić końcowy adres dopiero po wykonaniu kilku żądań HTTP. Podejrzane są połączenia, które wymagają szybkiego logowania, podania hasła, kodu jednorazowego, danych karty albo pobrania programu bez wyraźnego powodu. Nie należy wpisywać danych uwierzytelniających na stronie tylko dlatego, że jej wygląd odpowiada znanemu serwisowi. Jeśli dane zostały już podane, trzeba zmienić hasło na właściwej stronie otwartej ręcznie, wycofać aktywne sesje i sprawdzić, czy konto nie ma dodanych obcych metod odzyskiwania dostępu.

Postępowanie po otwarciu podejrzanej domeny

Samo otwarcie strony nie zawsze oznacza przejęcie komputera, ale ryzyko zależy od treści, pobranych plików, wykorzystanych podatności oraz działań wykonanych przez użytkownika. Należy zamknąć kartę, nie uruchamiać pobranych plików i nie zezwalać nieznanej witrynie na powiadomienia, dostęp do schowka, kamery, mikrofonu ani innych zasobów. Pobrany plik można usunąć dopiero po sprawdzeniu, czy nie został uruchomiony; jeżeli był uruchamiany, potrzebna jest dokładniejsza kontrola systemu, procesów, autostartu i historii zabezpieczeń. W przypadku podania hasła należy potraktować je jako ujawnione, zwłaszcza gdy było używane również w innych usługach.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, w tym sprawdzenie systemu po wejściu na podejrzaną stronę, uruchomieniu nieznanego pliku lub wystąpieniu nietypowych przekierowań. Diagnostyka laptopa jest bezpłatna w trybie door-to-door, czyli przy odbiorze przez kierowcę. W przypadku komputera stacjonarnego diagnoza kosztuje 200 zł i jest zaliczana na poczet naprawy. Zakres czynności powinien wynikać z rzeczywistych objawów: może obejmować analizę przeglądarki, usunięcie niepożądanych rozszerzeń, kontrolę ustawień DNS, sprawdzenie oprogramowania uruchamianego wraz z systemem oraz ocenę, czy doszło do instalacji szkodliwego programu.